Una falla crítica en cómo los sistemas antivirus y de Detección y Respuesta en Endpoints (EDR) procesan los archivos comprimidos.

Registrada como CVE-2026-0866, esta vulnerabilidad permite a los atacantes utilizar encabezados ZIP intencionalmente malformados para colar cargas maliciosas sin ser detectadas por los escáneres de seguridad estándar.

Los archivos ZIP contienen metadatos integrados, como detalles de versión, banderas operativas y métodos de compresión específicos, que indican al software cómo leer el archivo.

ZIP malformados eluden antivirus y EDR

La mayoría de los motores antivirus y EDR dependen de estos metadatos para determinar cómo preprocesar y escanear el archivo antes de permitir su acceso al sistema.

Si un actor de amenazas altera deliberadamente el campo del método de compresión en el encabezado ZIP, el escáner de seguridad se confunde.

Al confiar en gran medida en los metadatos manipulados, el software antivirus no logra descomprimir correctamente el archivo. Lo omite, lo que resulta en un falso negativo.

Como el escáner no puede leer el contenido, la carga maliciosa oculta dentro del archivo ZIP permanece completamente invisible para el análisis de seguridad automatizado.

Modificar el encabezado ZIP no solo engaña al software de seguridad, sino que también corrompe el archivo al extraerlo con herramientas estándar.

Programas legítimos como 7-Zip, el módulo zipfile de Python y las utilidades de descompresión del sistema operativo leerán los metadatos alterados, intentarán descomprimir el archivo y fallarán.

Estas herramientas suelen mostrar un error de "CRC" o "método no compatible", impidiendo la extracción o exposición de los datos subyacentes.

Para superar este obstáculo y ejecutar el malware, los atacantes despliegan un cargador personalizado. Este cargador especializado está programado para ignorar por completo el método de compresión fabricado.

En su lugar, omite los metadatos corruptos y accede directamente a los datos maliciosos integrados.

Este proceso en dos pasos garantiza que la carga útil permanezca invisible para los productos de seguridad durante el escaneo inicial, pero se ejecute con éxito una vez que el cargador personalizado se active en la máquina objetivo.

Descubierta por el investigador de seguridad Christopher Aziz, esta táctica de evasión destaca un punto ciego peligroso en el escaneo moderno de archivos comprimidos.

La vulnerabilidad comparte características con una falla mucho más antigua de 2004 (CVE-2004-0935), lo que demuestra que la manipulación de metadatos de archivos sigue siendo un vector de ataque altamente efectivo en la actualidad.

Cisco está confirmado como afectado, mientras que casi 30 proveedores de seguridad, incluyendo Bitdefender, Avast y AhnLab, tienen un estado de vulnerabilidad desconocido.

Para combatir esta técnica de evasión, la comunidad de ciberseguridad y los proveedores de software deben adaptar sus metodologías de escaneo.

Según el Centro de Coordinación CERT, detallado en la nota de vulnerabilidad VU#976247, las organizaciones deberían considerar las siguientes medidas de protección:

Los proveedores de seguridad deben dejar de depender únicamente de los metadatos declarados en los archivos comprimidos para determinar los procedimientos de manejo de contenido.

Los escáneres EDR deberían implementar modos de detección agresivos que validen las características reales del contenido del archivo frente al método de compresión declarado.

Los sistemas antivirus deben configurarse para marcar y poner en cuarentena los archivos comprimidos con encabezados inconsistentes o corruptos para una inspección manual o automatizada más profunda.

Las organizaciones deben contactar a sus proveedores de EDR y antivirus de inmediato para verificar si sus soluciones actuales son vulnerables a CVE-2026-0866.

Los equipos de caza de amenazas deben monitorear la presencia de cargadores personalizados, ya que estos son necesarios para extraer cargas útiles que las herramientas estándar no pueden abrir.